应用安全 - 应用测评指导书 - 三级 - 1.0版 - 模板

应用安全---应用测评指导书---三级---1.0版---模板

天融信信息安全等保中心

编号：

测 评 指 导 书

《信息系统安全等级保护基本要求》

基础网络安全-应用安全-第三级

V1.0

天融信信息安全等保中心

天融信信息安全等保中心

1、测评对象 对象名称及IP地址 2、入场确认 备注（测评地点及环境等） 确认内容 1 测评对象中的关键数据已备份。如果没有备份则不进行测评 2 测评对象工作正常。如工作异常则不进行测评。 开始确认 时间 签字 3、离场确认 序号 确认内容 1 测评工作未对测评对象造成不良影响，测评对象工作正常。 结束 确认 时间 签字 序号 天融信信息安全等保中心

序号 类别 测评项 访谈: 1)访谈应用系统管理员，询问应用系统的身a) 应提供专用的登录控制模块对登录用户进行身份标识和鉴别； 份标识和鉴别机制采用何种措施实现； 2)登录应用系统，查看是否提示输入用户口令，然后以正确口令登录系统，再以错误口令或空口令重新登录，观察是否成功。 访谈: 1）访谈应用系统管理员，询问应用系统是测评实施 预期结果 1)应用系统使用口令鉴别机制对用户进行身份标识和鉴别； 2)登录时提示输入用户名和口令；以错误口令或空口令登录时提示登录失败，验证了登录控制功能的有效性； 3)应用系统不存在密码为空的用户。 符合情况 1 身份鉴别 鉴别技术实现用户身份鉴别； b) 应对同一用户采用两种或两种以上组合的否采用了两种及两种以上身份鉴别技术的组合来进行身份鉴别（如采用用户名/口令、用户的认证方式选择两种或两种以挑战应答、动态口令、物理设备、生物识别技术中的任意两种组合）； 手工检查： 1）通过注册用户，并以一种身份鉴别技术登录，验证是否可以登录。 访谈： c) 应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用； 1）访谈应用系统管理员，询问应用系统采取何种措施防止身份鉴别信息被冒用（如复口令周期等）； 1)应用系统配备身份标识（如建立帐号）和鉴别（如口令等）功能；其身份鉴别信息具有不易被冒用的特点，特殊字符）； 上组合的鉴别技术，只用一种技术无法认证成功。 杂性混有大、小写字母、数字和特殊字符，规定字符混有大、小写字母、数字和